WordPress 7.1.2: Sicherheitsupdate behebt kritische Lücke
WordPress 7.1.2 ist am 22. September 2026 erschienen, ausdrücklich als Security Release. Behoben wird eine nicht authentifizierte Path-Traversal-Lücke in der Page-Template-Auflösung mit möglicher, bedingter Remote Code Execution. Für produktive WordPress-Installationen würden wir dieses Update nicht liegen lassen.
Bestand prüfen → Update → Kurztest
DIE LÜCKE
Sicherheitslücke in der Page-Template-Auflösung
Der Fix steckt in einer einzigen Datei: wp-includes/template.php. WordPress beschreibt die Schwachstelle als „unauthenticated path traversal issue“ in der Auflösung von Page Templates, die unter bestimmten Bedingungen zu Remote Code Execution führen kann. Entdeckt und gemeldet wurde sie von Robert Ressl.
Keine Anmeldung nötig
Die Schwachstelle setzt keinen angemeldeten Zugang voraus. Das ist der Hauptgrund, warum WordPress zur sofortigen Aktualisierung rät.
„Bedingte“ RCE
WordPress spricht ausdrücklich von „conditional remote code execution“. Das ist keine pauschale Aussage, dass jeder Server sofort übernehmbar ist: Die konkrete Ausnutzbarkeit hängt davon ab, unter welchen Bedingungen die betroffene Template-Auflösung überhaupt greift.
Ein einzelner Fix
Kein größeres Funktionsupdate: nur eine geänderte Datei, keine neuen Pakete, keine Datenbankänderung, kein neuer Funktionsblock, auf den man sich vorbereiten müsste.
Unsere Einordnung: Die Kombination aus „ohne Anmeldung ausnutzbar“ und „möglicher Codeausführung“ ist genau der Grund, warum wir das Update nicht aufschieben würden, auch wenn die genauen Voraussetzungen für eine erfolgreiche Ausnutzung nicht öffentlich im Detail beschrieben sind.
AUCH ÄLTERE VERSIONEN
Der Fix reicht bis WordPress 4.7 zurück
WordPress hat den Sicherheitsfix nicht nur für die aktuelle 7.1-Serie veröffentlicht, sondern als Backport für praktisch jeden noch gepatchten Zweig, bis hinunter zu 4.7.37. WordPress 4.6 und älter erhalten keine Sicherheitsupdates mehr.
7.0.6 · 6.9.9 · 6.8.10 · 6.7.9 · 6.6.9 · 6.5.12 · 6.4.12 · 6.3.12 · 6.2.13 · 6.1.14 · 6.0.16 · 5.9.18 · 5.8.17 · 5.7.19 · 5.6.21 · 5.5.22 · 5.4.23 · 5.3.25 · 5.2.28 · 5.1.26 · 5.0.29 · 4.9.33 · 4.8.32 · 4.7.37
Nur die aktuelle Version wird aktiv gepflegt
Die Backports sind eine Zusatzabsicherung für Installationen, die (noch) nicht auf der neuesten Major-Version laufen. Aktiv unterstützt wird ausschließlich die jeweils aktuelle Version.
Kein Grund, alt zu bleiben
Für den normalen Betrieb würden wir nicht versuchen, möglichst lange auf einer alten Major-Version zu bleiben, nur weil dafür noch Security-Backports erscheinen.
FÜR HOSTING-KUNDEN
Was das für Hosting-Kunden bedeutet
Wir haben es bei WordPress nicht mit einer einzelnen zentralen Installation zu tun, sondern mit vielen unterschiedlichen Websites: verschiedene Themes, Plugins, PHP-Versionen, teils sehr alte Installationen, individuelle Anpassungen und teils automatisierte Updates. Deshalb aktualisieren wir bei einem Security Release zeitnah, aber nicht blind.
Frontend
- Frontend erreichbar?
- Startseite und wichtige Unterseiten laden?
Backend
- Login funktioniert?
- Backend erreichbar?
Funktionen
- Formulare funktionieren?
- Caching funktioniert?
Technik
- Kritische Plugins laufen?
- PHP-Fehler im Log?
CORE VS. PLUGINS
Ein aktuelles Plugin ersetzt keinen aktuellen Core
Die Sicherheitslücke sitzt im WordPress-Core, ein Plugin-Update ersetzt diesen Fix nicht. Das heißt auch: Eine Website mit aktuellem Elementor, WooCommerce oder einem anderen großen Plugin bleibt auf einer verwundbaren Core-Version, solange WordPress selbst nicht aktualisiert wurde. Core-, Plugin- und Theme-Updates behandeln wir deshalb getrennt.
AUTOMATISCHE UPDATES
Nicht blind auf Automatik verlassen
WordPress kann Security Releases automatisch einspielen. Ob und wie das bei einer Installation geschieht, hängt aber von der jeweiligen Konfiguration und Hostingumgebung ab, wir würden uns deshalb nicht ausschließlich darauf verlassen. Wird 7.1.2 im Dashboard angeboten, ist das aktuell ein eindeutiges Signal: Backup prüfen, Update durchführen. Die offizielle Dokumentation nennt Dashboard → Updates als normalen Update-Weg.
CHECKLISTE
Was wir bei einem Hostingserver prüfen
Bei vielen WordPress-Installationen ist weniger das einzelne Update das Problem, sondern die Frage, ob wirklich alle Installationen gefunden werden.
Bestandsaufnahme
Eine einfache Bestandsaufnahme kann sinnvoll sein, zum Beispiel per WP-CLI:
wp core version --allJe nach Hostingumgebung geht das auch über die vorhandene Verwaltungs- oder Update-Infrastruktur.
Wichtig: Nicht nur die aktiv betreuten Websites prüfen. Alte Testinstallationen, Staging-Systeme und vergessene Subdomains werden bei Sicherheitsupdates gerne übersehen, gerade weil sie meist weniger gut gepflegt werden.
FAZIT
7.1.2 ist aktuell die Version, die wir einsetzen
Das offizielle WordPress-Release-Archiv führt 7.1.2 seit dem 22. September 2026 als aktuelle Version der 7.1-Serie. WordPress 7.1.2 ist kein Feature-Release, sondern ein Security Release: Technisch wird im Wesentlichen eine Schwachstelle in der Page-Template-Auflösung behoben, die Auswirkungen können unter bestimmten Bedingungen aber deutlich größer sein.
Unser Vorgehen: Bestand prüfen, Updates ausrollen, danach kurz kontrollieren, ob Website und Backend sauber laufen. Mehr braucht dieses Release eigentlich nicht. Mehr zum vorherigen Sicherheitsupdate: WordPress 7.1.1.
FAQ
Häufige Fragen zu WordPress 7.1.2
WordPress-Updates nicht selbst prüfen?
Updates gehören bei Hosting- und Webdesign-Projekten zu unserem Alltag. Sprechen Sie uns an.
